abraxas/pfsense-wizard-uid0pfSense CE 2.9.0-DEVELOPMENT - 高 - リモート - 権限の残存 - wizard uid 0
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-wizard-uid0
クラス: 特権の残留 到達範囲: リモート
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
wizard.php?xml=setup_wizard.xml のステップ 7 で getUserEntryByUID(0) と local_user_set_password() を実行。特権 MATCH wizard.php* には warn-root がない。xml= は /usr/local/www/wizards 配下で realpath が前置される。
| ID | CVE 未割当 |
| クラス | 特権の残留 |
| 到達範囲 | リモート (特に断りのない限り認証済み WebGUI) |
| CWE | CWE-269 |
| CVSS | High: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 製品 | pfSense CE |
| 影響を受けるバージョン | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| 認証 | page-pfsensewizardsubsystem を持つ WebGUI セッション |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
公開 master 9363ac5 を固定した。ラボは固定したシンクの PHP ガジェットで、127.0.0.1:19020 のループバック HTTP である。
シリーズ解説: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| 手法 | シンク | 特権 |
|---|---|---|
| POST wizard.php?xml=setup_wizard.xml ステップ 7 | getUserEntryByUID(0) local_user_set_password | 完全性: ラボで実証済み: ステップ 7 が uid 0 の bcrypt ハッシュを書き換えた。xml= LFI は閉じている (../etc/passwd および絶対パスは拒否)。 |
| 同じ残留 | 同じシンク | 偵察: 推測: 同じウィザードが WAN/LAN/DHCP/ホスト名を書き換える。 |
| 同じ残留 | 同じシンク | 可用性: 推測: オペレーターを LAN から締め出す。 |
必要条件: page-pfsensewizardsubsystem。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
必要条件: page-pfsensewizardsubsystem。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。特に断りのない限り POST に CSRF-magic。WebGUI PHP-FPM は root。
xml= の realpath プレフィックス LFI。page-system-usermanager は同じクラスに対して warn-root である。
そのページも許可されていない限り Diagnostics: Command はない。
cd lab
./run.sh
ループバック 127.0.0.1:19020。Compose プロジェクト pfsense-wizard-uid0。ウィットネス PFSENSE-WIZARD-UID0-WITNESS。ループバックのみ: 127.0.0.1:19020。Compose プロジェクト pfsense-wizard-uid0。ウィットネス PFSENSE-WIZARD-UID0-WITNESS。固定した行の PHP ガジェット。スタックは実行後に破棄される。
最終行:
SUCCESS PFSENSE-WIZARD-UID0 lfi-closed=yes control-no-hash-change=yes trigger-uid0-hash-change=yes wizard-no-warn-root=yes usermanager-warn-root=yes PFSENSE-WIZARD-UID0-WITNESS
wizard.php を standard-warning-root としてマークするか、初回起動後にセットアップウィザードから uid 0 のパスワードを削除する。
9363ac5b8651a1c7a333180425ce7719070f95f9